Intel、リークされた Alder Lake BIOS ソース コードが本物であることを確認

masapoco
投稿日 2022年10月10日 18:20
intel core header

米半導体大手Intel(Intel)は、先日流出した第12世代Alder Lake CPUのUEFI BIOSのソースコード流出が本物であることを確認した。これにより、研究者の間でサイバーセキュリティに関する懸念が高まっている。

10月7日に、「freak」というTwitterユーザーが、Intel Alder LakeのUEFIファームウェアのソースコードとされるもののリンクを投稿し、4chanによって公開されたと述べていた。

リンク先は、「LCFCASD」というユーザーがアップロードした「ICE_TEA_BIOS」というGitHubのリポジトリで、このリポジトリには「project C970のBIOSコード」とされるものが含まれていた。

流出したのは5.97GBのファイル、ソースコード、秘密鍵、変更履歴、コンパイルツールで、ファイルの最新タイムスタンプは22年9月30日で、ハッカーや内部関係者がデータをコピーしたと思われる。

Intelは、誰がコードを流出させたのか、どこでどのように流出させたのかを確認していない。しかし、現在は削除されているが、すでに広く複製されているGitHubリポジトリは、Lenovoを含むいくつかのOEMのラップトップを製造している中国ベースのODM、LC Future Centerの従業員と見られる人物によって作成されたことが分かっている。さらに、流出した文書の1つは「Lenovo Feature Tag Test Information」に言及しており、同社と流出の関連性についての説をさらに強めています。

また、「Insyde」と書かれたファイルも大量にあり、これは、OEMにBIOS/UEFIファームウェアを提供し、Lenovoとの協力関係で知られるInsyde Software社を指しており、BleepingComputerによると、すべてのソースコードは、UEFIシステムファームウェア開発会社であるInsyde Software Corpが開発したものであるとのことだ。

Intelはその後、Tom’s Hardware に対して、この事件を確認する声明を発表している。

「当社独自の UEFI コードがサードパーティによってリークされたようです。我々は、セキュリティ対策として情報の難読化に依存していないため、これが新たなセキュリティの脆弱性を露呈するとは考えていない。このコードは、Project Circuit Breakerキャンペーン内のバグバウンティプログラムの対象であり、潜在的な脆弱性を発見した研究者は、このプログラムを通じて私たちの注意を喚起することをお勧めします。我々は、顧客とセキュリティ・リサーチ・コミュニティの両方に連絡を取り、この状況について知らせ続けています。」

Intelの広報担当者

セキュリティ研究者が懸念

Intelはソースコード流出のセキュリティリスクを軽視していますが、セキュリティ研究者は、この内容によってコードの脆弱性が発見されやすくなる可能性があると警告している。

実際、著名なセキュリティ研究者であるMark Ermolov氏は、すでにコードの解析に懸命に取り組んでいる。彼の初期の報告によると、通常特権コード用に確保されている秘密のMSR(Model Specific Registers)が発見され、セキュリティ上の問題となる可能性があること、またIntelのBoot Guardに使われている秘密署名キーが発見され、この機能が無効となる可能性があることが示されている。また、BootGuardやTXT(Trusted Execution Technology)用のACM(Authenticated Code Modules)の痕跡もあり、将来的に信頼の根源に関わる問題が発生する可能性があるという。

流出した秘密鍵が製品に使用されているかどうかは不明だが、もし使用されている場合、ハッカーはこの秘密鍵を使ってIntelファームウェアのブートポリシーを変更し、ハードウェアのセキュリティを回避することができる可能性があるという。

Intelは積極的に、発見した脆弱性を同社のバグバウンティプログラム「Project Circuit Breaker」に提出するよう研究者に呼びかけており、報告された問題の重大性に応じて、バグ1件につき500ドルから10万ドルの賞金を授与している。このコードが、Corebootのようなオープンソースグループに間接的に利益をもたらすかどうかは不明である。



この記事が面白かったら是非シェアをお願いします!


  • SGL1
    次の記事

    人類最強の望遠鏡となる「太陽重力レンズ」。その最適なターゲットとは?

    2022年10月10日 18:29
  • 前の記事

    ノーベル賞受賞の量子力学の不思議が、通信の暗号化や身体の画像化など、新たなハイテク産業を支えている

    2022年10月10日 16:16
    quantum network

スポンサーリンク


この記事を書いた人
masapoco

コメントを残す

メールアドレスが公開されることはありません。 が付いている欄は必須項目です


おすすめ記事

  • TSMC FAB18

    TSMCの3nmノードが急成長、2024年は収益の20%以上を占める可能性

  • what is ai pc

    Intel、「AI PC」の要件は40TOPS以上の性能を持つNPUが必要と述べる、ただしMeteor Lakeはこれを満たさず

  • intel ai pc developer program

    Intel、小規模ソフトウェア開発者のAI PC向けアプリ制作を支援する新プログラムを開始

  • UXL logo

    NVIDIAのAI市場支配からの脱却を目指しGoogle、Intel、Qualcommらが協力

  • us china

    中国、政府機関のコンピュータにIntelとAMDのプロセッサー使用を禁止へ

今読まれている記事